logfiles verstehen

[Christoph Schnauß]

hallo Forum,

ich sehe an meinen logfiles zu wiederholtem Mal etwas, was ich nicht verstehe. Folgender Schnipsel:
  [09/Dec/2004:19:36:04 +0100] "GET /prog/java/anim.class HTTP/1.1" 200 1875 "-" "Mozilla/4.0 (Windows 2000 5.0) Java/1.4.2_05"
  [09/Dec/2004:19:36:05 +0100] "GET /index.htm HTTP/1.1" 304 - "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.0.3705)"

Die IP, die vorn noch davorstand, habe ich jetzt weggeschnitten. Es handelt sich aber bei beiden Zeilen um dieselbe IP  -  und ich glaube sogar zu wissen, wer es war *g*. Was ich nicht verstehe ist: wie kommt es, daß jemand bei gleichbleibender IP innerhalb einer Sekunde den user agent derart wechseln kann, daß nicht nur ein anderer Browser, sondern gleich noch eine andere Betriebssystem-Kennung verzeichnet wird (über die Zuverlässigkeit der user agent-Aussagen gibts weiter unten einen Thread, das kann hier unberücksichtigt bleiben). Im Grunde genommen hat der Besucher nichts anderes getan, als auf einer Seite einen link zu einer anderen anzuklicken. Hat jemand eine Erklärung, damit ich nachher nicht unwissend schlafen gehen muß und schlimme Träume bekomme?

Grüße aus Berlin

Christoph S.

[wahsaga]

hi,

Was ich nicht verstehe ist: wie kommt es, daß jemand bei gleichbleibender IP innerhalb einer Sekunde den user agent derart wechseln kann, daß nicht nur ein anderer Browser, sondern gleich noch eine andere Betriebssystem-Kennung verzeichnet wird (über die Zuverlässigkeit der user agent-Aussagen gibts weiter unten einen Thread, das kann hier unberücksichtigt bleiben).

wir hatten doch erst letzte tage einen thread hier zum thema user agents, in dem wir herausgefunden haben (ich glaube MudGuard war's), dass beispielsweise der IE je nachdem, welche _art_ von ressource er anfordert, einen anderen user agent string schickt.

und ich vermute mal, hier verhält es sich ähnlich:
beim ersten request handelt es sich offenbar im eine java-.class, und beim zweiten um einen html-datei.

und bei ersterem request hält es mozilla offenbar für angebracht zu erkennen zu geben, dass eine JVM installiert ist (und in welcher version), im zweiten bei einer reinen html-datei aber wohl nicht.

gruß,
wahsaga

[wahsaga]

hi,

wir hatten doch erst letzte tage einen thread hier zum thema user agents, in dem wir herausgefunden haben (ich glaube MudGuard war's)

na gut, Sven Rautenberg war vordenker, wollen wir ihn hier also nicht unterschlagen :-)

näheres siehe http://forum.de.selfhtml.org/archiv/2004/11/t95032/#m576209 ff.

würde mal stark vermuten, dass es sich hier um einen ähnlichen umstand handelt.

gruß,
wahsaga

[wahsaga]

hi,

und noch'n nachtrag:

hier wird die vermutung geäußert (zwischen den zeilen, jedenfalls wenn ich's richtig verstehe), dass gar nicht der browser, sondern eher die JVM bzw. das JRE die dateien anfordert: http://forum.java.sun.com/thread.jspa?forumID=30&messageID=1492903&threadID=214419

ob da aber was dran ist, vermag ich nicht zu beurteilen. erscheint mir persönlich aber eher unwahrscheinlich - den ablauf "browser fordert java-dateien an, und übergibt diese anschließend an java" halte ich für plausibler.

gruß,
wahsaga

[Christoph Schnauß]

hi,

wir hatten doch erst letzte tage einen thread hier zum thema user agents, in dem wir herausgefunden haben (ich glaube MudGuard war's), dass beispielsweise der IE je nachdem, welche _art_ von ressource er anfordert, einen anderen user agent string schickt.

Ich erinnere mich gut an diesen Thread, auch wenn ich mich nicht daran beteiligt habe. Aber ich habe aus meinen logs jetzt nur _eine_ Stelle mit zwei Zeilen herausgegriffen (und dabei eine Stelle erwischt, die diese Vermutung nahelegt). Es gibt einen ähnlichen Wechsel des user agent aber auch dann, wenn von einer "normalen" HTML-Seite auf eine andere gegangen wird. Und zwei Sekunden vorher hat der Besucher noch Opera verwendet bzw. einen entsprechenden user agent abgeliefert (es ist immer dieselbe IP).
Dasselbe "Phänomen" habe ich schon mehrfach gesehen, aber nie sonderlich beachtet.

Grüße aus Berlin

Christoph S.

[wahsaga]

hi,

[...] Es gibt einen ähnlichen Wechsel des user agent aber auch dann, wenn von einer "normalen" HTML-Seite auf eine andere gegangen wird. Und zwei Sekunden vorher hat der Besucher noch Opera verwendet bzw. einen entsprechenden user agent abgeliefert (es ist immer dieselbe IP).

na gut, dann denke ich vielleicht doch in die falsche richtung.

vielleicht macht sich da einfach nur jemand einen spaß daraus, dir schlaflose nächte zu bereiten? - und nutzt einen proxy/firewall, der gewisse request header austauscht und dabei den UA beliebig wechselt ...

gruß,
wahsaga

[Christoph Schnauß]

hi,

vielleicht macht sich da einfach nur jemand einen spaß daraus, dir schlaflose nächte zu bereiten?

"Nichts ist unmöglich" - aber wenns wirklich _der_ ist, den ich grade angemailt habe, so ist es einer von den untadeligen hochanständigen guten Forumsgeistern und wird überhaupt nicht daran denken, mir einen Schabernack abliefern zu müssen *g*

Grüße aus Berlin

Christoph S.

[Ingo Turski]

Hi,

Es gibt einen ähnlichen Wechsel des user agent aber auch dann, wenn von einer "normalen" HTML-Seite auf eine andere gegangen wird. Und zwei Sekunden vorher hat der Besucher noch Opera verwendet bzw. einen entsprechenden user agent abgeliefert (es ist immer dieselbe IP).

Hehe... es könnte auch sein, daß einer Deine Seiten in verschiedenen Browsern prüft. Das geht z.B. mit der netten Toolbar von Selfhtml sehr fix.
Oder es hat einer eine Erweiterung für den Firefox entwickelt, die ständig die UAs wechselt? ;-)

freundliche Grüße
Ingo

[Christoph Schnauß]

ups,

Hehe... es könnte auch sein, daß einer Deine Seiten in verschiedenen Browsern prüft. Das geht z.B. mit der netten Toolbar von Selfhtml sehr fix.

Das könnte sehr gut auf meinen Besucher zutreffen, tatsächlich. Der benutzt diese Toolbar nämlich (manchmal).

Grüße aus Berlin

Christoph S.

[Ingo Turski]

Hi,

Das könnte sehr gut auf meinen Besucher zutreffen, tatsächlich. Der benutzt diese Toolbar nämlich (manchmal).

Dann schau doch mal, ob stets der IE als erster auftaucht; AFAIR gibt's die nur für den IE - obwohl es bestimmt auch entsprechende Tools für andere Browser gibt.

freundliche Grüße
Ingo

P.S. auf Deiner Seite war ich nur um zu sehen, ob Du das JavaFile auch drauf hast und da fiel mir das halt direkt auf..;-)

[Christoph Schnauß]

hallo Ingo,

P.S. auf Deiner Seite war ich nur um zu sehen, ob Du das JavaFile auch drauf hast und da fiel mir das halt direkt auf..;-)

Ich gehe eben besonders raffiniert vor, wenn ich mal wieder nen paar Klicks haben möchte *g*. Aber keine Sorge, "anim.class" gibts tatsächlich (siehe http://www.christoph-schnauss.de/prog/java/applets5.htm, sonst käme ja auch keine Statusmeldung "200" zustande), sogar inclusive Bastelanleitung. Das Applet ist mit ~2kB schön klein und wird sogar mehrfach auf verschiedenen Seiten eingesetzt. Ich habs mal vor ungefähr drei Jahren gebaut und bisher keinen zwingenden Grund gefunden, es wieder abzuschaffen.

Grüße aus Berlin

Christoph S.

[Ingo Turski]

Hi,

Aber keine Sorge, "anim.class" gibts tatsächlich (siehe http://www.christoph-schnauss.de/prog/java/applets5.htm, sonst käme ja auch keine Statusmeldung "200" zustande)

au weia. da hätte ich mir den Klick ja sparen können...;-)

freundliche Grüße
Ingo

[Dennis]

Hi Christoph,

Es gibt einen ähnlichen Wechsel des user agent aber auch dann, wenn von einer "normalen" HTML-Seite auf eine andere gegangen wird. Und zwei Sekunden vorher hat der Besucher noch Opera verwendet bzw. einen entsprechenden user agent abgeliefert (es ist immer dieselbe IP).

Und wenn ich vielleicht an einem Rechner sitzen würde und deine Seite gleichzeitig im Mozilla und im IE (oder Opera) geöffnet habe um mir anzuschauen, wie deine Seite in anderen Browsern aussieht?

Wäre so etwas nicht auch denkbar?

MfG, Dennis.

[Ingo Turski]

Hi,

hallo Forum,

ich sehe an meinen logfiles zu wiederholtem Mal etwas, was ich nicht verstehe. Folgender Schnipsel:
  [09/Dec/2004:19:36:04 +0100] "GET /prog/java/anim.class HTTP/1.1" 200 1875 "-" "Mozilla/4.0 (Windows 2000 5.0) Java/1.4.2_05"

nanu. Ich hätte eher _04 hinten erwartet - so identifizieren sich jedenfalls einige Java-Clienten bei mir.
Da Du tatsächlich eine solche Datei anbietest, wird es im Gegensatz zu meinen Logfile-Einträgen reiner Java-Kennungen so sein wie von Wahsaga beschrieben.

Übrigens: als ich gerade mal auf der besagten Seite war las ich:
»Nahezu alle Seiten haben hellgraue Hintergründe und dunkle Schriftfarben.«
Ich habe aber - je nach Browser(-Voreinstellung) braun bzw. kaum erkennbares hellgrau.

freundliche Grüße
Ingo

[Christoph Schnauß]

hallo Ingo,

[09/Dec/2004:19:36:04 +0100] "GET /prog/java/anim.class HTTP/1.1" 200 1875 "-" "Mozilla/4.0 (Windows 2000 5.0) Java/1.4.2_05"
nanu. Ich hätte eher _04 hinten erwartet

Ja, ich auch  -  aber auf diese Feinheit wollte ich gar nicht eingehen. Es versteht sich von selbst, daß ich die beiden Zeilen per c&p hier hereingestellt habe und es sich nicht um einen Tippfehler handelt (habe ich natürlich sofort nochmal geprüft).

Übrigens: als ich gerade mal auf der besagten Seite war las ich:
»Nahezu alle Seiten haben hellgraue Hintergründe und dunkle Schriftfarben.«
Ich habe aber - je nach Browser(-Voreinstellung) braun bzw. kaum erkennbares hellgrau.

Gar so streng mußt du nun auch nicht sein. In dem bemängelten Text fehlt ein Halbsatz "...,sofern Sie keine eigenen Browsereinstellungen verwenden"  -  und die CSS ist durchaus revisionsbedürftig. Aber ich habe hier nicht um eine "Seitenbewertung" gebeten, sondern nur um eine "logfile-Bewertung" ;-)

Grüße aus Berlin

Christoph S.

[MudGuard]

Hi,

[09/Dec/2004:19:36:04 +0100] "GET /prog/java/anim.class HTTP/1.1" 200 1875 "-" "Mozilla/4.0 (Windows 2000 5.0) Java/1.4.2_05"
nanu. Ich hätte eher _04 hinten erwartet - so identifizieren sich jedenfalls einige Java-Clienten bei mir.

Bei der Java-Version? Also 1.4.2_04 statt 1.4.2_05?

Da wird der User wohl ne neuere Version haben.

Bei mir ist es die 1.4.2_06 bzw. am anderen Rechner die 1.5.0

cu,
Andreas

[Reiner]

Hallo Christoph,

wo ist das Problem?
Ich kann Dir auch einen Roboter über die Seiten schicken, der innerhalb kurzer Zeit UserAgent und Referrer wechselt...

Gruß
Reiner

[Christoph Schnauß]

hallo Reiner,

wo ist das Problem?
Ich kann Dir auch einen Roboter über die Seiten schicken, der innerhalb kurzer Zeit UserAgent und Referrer wechselt...

Grrrrr. Kannste machen, aber schick mir vorher die Bastelanleitung (=>Quelltext) deines robot. Ich wills ja bloß verstehen, wie sowas zustandekommen kann. Schaden hatte ich keinen davon.

(erstaunlicherweise noch alkoholfreie) Grüße aus Berlin

Christoph S.

[Reiner]

hallo Reiner,

wo ist das Problem?
Ich kann Dir auch einen Roboter über die Seiten schicken, der innerhalb kurzer Zeit UserAgent und Referrer wechselt...

Grrrrr. Kannste machen, aber schick mir vorher die Bastelanleitung (=>Quelltext) deines robot. Ich wills ja bloß verstehen, wie sowas zustandekommen kann. Schaden hatte ich keinen davon.

(erstaunlicherweise noch alkoholfreie) Grüße aus Berlin

Christoph S.

ganz einfach:

man  LWP::UserAgent

Gruß
Reiner

[wahsaga]

hi,

(erstaunlicherweise noch alkoholfreie) Grüße aus Berlin

der holunderwein-vorrat geht doch hoffentlich nicht schon zur neige ...?

gruß,
wahsaga

[Christoph Schnauß]

hi,

(erstaunlicherweise noch alkoholfreie) Grüße aus Berlin
der holunderwein-vorrat geht doch hoffentlich nicht schon zur neige ...?

I wo. Aber ich muß in einer halben Stunde noch zu einem (vielleicht sogar nur sehr kurzen) Abstimmungstermin. Holunderwein gibts erst gegen Mitternacht  -  heute ;-)

Grüße aus Berlin

Christoph S.

[Orlando]

Hi Christoph,

[09/Dec/2004:19:36:04 +0100] "GET /prog/java/anim.class HTTP/1.1" 200 1875 "-" "Mozilla/4.0 (Windows 2000 5.0) Java/1.4.2_05"
  [09/Dec/2004:19:36:05 +0100] "GET /index.htm HTTP/1.1" 304 - "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.0.3705)"

http://groups.google.at/groups?hl=de&lr=&frame=right&th=b5078f23643663a6&seekm=%237Igh2ccDHA.1044%40TK2MSFTNGP10.phx.gbl#link2

ich halte es für nicht ausgeschlossen, dass sich beim IE diverse Komponenten um Teilgebiete kümmern und Ressourcen getrennt anfordern. Viele Köche … ;-)

Grüße,
 Roland

[Andreas Korthaus]

Hallo Christoph!

ich sehe an meinen logfiles zu wiederholtem Mal etwas, was ich nicht verstehe. Folgender Schnipsel:
  [09/Dec/2004:19:36:04 +0100] "GET /prog/java/anim.class HTTP/1.1" 200 1875 "-" "Mozilla/4.0 (Windows 2000 5.0) Java/1.4.2_05"
  [09/Dec/2004:19:36:05 +0100] "GET /index.htm HTTP/1.1" 304 - "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.0.3705)"

Die IP, die vorn noch davorstand, habe ich jetzt weggeschnitten. Es handelt sich aber bei beiden Zeilen um dieselbe IP  -  und ich glaube sogar zu wissen, wer es war *g*. Was ich nicht verstehe ist: wie kommt es, daß jemand bei gleichbleibender IP innerhalb einer Sekunde den user agent derart wechseln kann, daß nicht nur ein anderer Browser, sondern gleich noch eine andere Betriebssystem-Kennung verzeichnet wird.

Wenn ich das im Firefox per Live-Header-Plugin verfolge, sehe ich nicht dass class-Dateien angefordert werden, obwohl mir Ethereal gleichzeitig was anderes sagt. Auch hier gibt es den Unterschied im User-Agent. Daraus schließe ich jetzt einfach mal, dass wenn ein Java-Objekt in den HTML-Code eingebettet ist, der Webbrowser dem "Java-Plugin" über eine entsprechende API die im HTML-Code angegebenen Parameter übergibt. Dieses führt dann anscheinend selbständig einen entsprechenden HTTP-Request durch. Wobei ich das etwas umständlich finde, denn dann müssen so Sachen wie SSL, entsprechend im Browser akzeptierte Zertifikate,... ja auch abgeglichen werden. Was mir auch auffällt, wenn ich den Browser-Cache leere, bleiben Java-Applets geladen. Hm. Aber mit Flash z.B. ist das auch anders, da führt der Browser den entsprechenden HTTP-Request durch.

Grüße
Andreas

PS: Windows 2000 wird ja auch als NT 5.0 und Windows XP als NT 5.1 bezeichnet.

[wahsaga]

hi,

Wenn ich das im Firefox per Live-Header-Plugin verfolge, sehe ich nicht dass class-Dateien angefordert werden, obwohl mir Ethereal gleichzeitig was anderes sagt. Auch hier gibt es den Unterschied im User-Agent. Daraus schließe ich jetzt einfach mal, dass wenn ein Java-Objekt in den HTML-Code eingebettet ist, der Webbrowser dem "Java-Plugin" über eine entsprechende API die im HTML-Code angegebenen Parameter übergibt. Dieses führt dann anscheinend selbständig einen entsprechenden HTTP-Request durch.

also doch das, was ich hier nicht ganz glauben wollte? https://forum.selfhtml.org/?t=96263&m=585141

gruß,
wahsaga

[Andreas Korthaus]

Hi!

also doch das, was ich hier nicht ganz glauben wollte? https://forum.selfhtml.org/?t=96263&m=585141

Hm, es sieht für mich so aus, aber eine wirklich "vertrauenswürdige" Quelle mit der sich dies belegen ließe finde ich bisher nicht ;-)

Grüße
Andreas